Autenticação × Autorização (RBAC e guards)

Em uma frase

Autenticação responde *quem é*; autorização responde *o que pode*. Login não é permissão — e if (user) não é RBAC.

Pergunta	Autenticação (lado A)	Autorização (RBAC e guards) (lado B)
Qual a pergunta?	Você é quem diz ser?	Esta identidade pode executar esta ação neste recurso?
Status HTTP típico da falha?	401 — autentique-se.	403 — autenticado, mas proibido.
Onde costuma viver no código?	Login, sessão, cookie, IdP.	Guards, policies, checagem de dono (anti-IDOR).
Dá para ter um sem o outro?	Sim — recurso público não autentica.	Quase não: sem identidade, role não cola.

Qual a pergunta?
Autenticação
Você é quem diz ser?
Autorização (RBAC e guards)
Esta identidade pode executar esta ação neste recurso?
Status HTTP típico da falha?
Autenticação
401 — autentique-se.
Autorização (RBAC e guards)
403 — autenticado, mas proibido.
Onde costuma viver no código?
Autenticação
Login, sessão, cookie, IdP.
Autorização (RBAC e guards)
Guards, policies, checagem de dono (anti-IDOR).
Dá para ter um sem o outro?
Autenticação
Sim — recurso público não autentica.
Autorização (RBAC e guards)
Quase não: sem identidade, role não cola.

Autenticação

Quando a dúvida é identidade: login, sessão, MFA, SSO.

Autorização (RBAC e guards)

Quando usuários autenticados têm poderes diferentes ou dados por dono.

Esconder o botão no front e achar que 'autorizou'. Ou um middleware que só checa user != null e chama isso de guard de admin.